kohët e fundit e bënë veten të njohur përmes një postimi në blog rezultatet e tre ditëve të konkursit Pwn2Own 2022, e cila mbahet çdo vit si pjesë e konferencës CanSecWest.
Në edicionin e këtij viti teknikat janë demonstruar se punojnë për të shfrytëzuar dobësitë i panjohur më parë për Ubuntu Desktop, Virtualbox, Safari, Windows 11, Microsoft Teams dhe Firefox. Në total, u demonstruan 25 sulme të suksesshme dhe tre përpjekje përfunduan me dështim. Sulmet përdorën versionet më të fundit të qëndrueshme të aplikacioneve, shfletuesve dhe sistemeve operative me të gjitha përditësimet e disponueshme dhe në cilësimet e paracaktuara. Shuma totale e shpërblimit të paguar ishte 1.155.000 USD.
Pwn2Own Vancouver deri në vitin 2022 është duke u zhvilluar dhe 15 vjetori i konkursit ka parë tashmë disa kërkime të pabesueshme të ekspozuara. Qëndroni të sintonizuar me këtë blog për rezultatet, imazhet dhe videot e përditësuara nga ngjarja. Ne do t'i postojmë të gjitha këtu, duke përfshirë tabelën më të fundit të drejtuesve të Master of Pwn.
konkurrencë demonstroi pesë përpjekje të suksesshme për të shfrytëzuar dobësitë e panjohura më parë në Ubuntu Desktop, krijuar nga ekipe të ndryshme pjesëmarrësish.
u shpërblye me a Çmimi 40,000 dollarë për demonstrimin e përshkallëzimit të privilegjeve lokale në Ubuntu Desktop duke shfrytëzuar dy çështje të tejmbushjes së buferit dhe lëshimit të dyfishtë. Katër bonuse, me vlerë 40,000 dollarë secila, u paguan për demonstrimin e përshkallëzimit të privilegjit duke shfrytëzuar dobësitë që lidhen me aksesin në kujtesë pasi u lëshua (Përdorimi-Pas-Free).
SUKSES – Keith Yeo ( @kyeojy ) fitoi 40 mijë dollarë dhe 4 pikë Master of Pwn për një shfrytëzim-Pas-Pa pagesë në Ubuntu Desktop.
Cilët komponentë të problemit nuk janë raportuar ende, sipas kushteve të konkursit, informacioni i detajuar për të gjitha dobësitë e demonstruara 0-ditore do të publikohen vetëm pas 90 ditësh, të cilat jepen për përgatitjen e përditësimeve nga prodhuesit për të hequr dobësitë.
SUKSES – Në përpjekjen e fundit në Ditën 2, Zhenpeng Lin (@Markak_), Yueqi Chen (@Lewis_Chen_) dhe Xinyu Xing (@xingxinyu) nga ekipi TUTELARY i Universitetit Northwestern demonstruan me sukses një defekt të Përdorimit Pas Falas që çon në ngritjen e privilegjive në Ubuntu Desktop . Kjo ju siguron 40,000 dollarë dhe 4 pikë Master of Pwn.
Ekipi i Orca of Sea Security (security.sea.com) ishte në gjendje të ekzekutonte 2 gabime në Ubuntu Desktop: një Shkrim jashtë kufijve (OOBW) dhe Përdorimi-Pas-Free (UAF), duke fituar 40,000 dollarë dhe 4 Master of Pwn Points .
SUKSES: Ekipi Orca of Sea Security (security.sea.com) ishte në gjendje të ekzekutonte 2 gabime në Ubuntu Desktop: një Shkrim jashtë kufijve (OOBW) dhe Përdorimi-Pas-Free (UAF), duke fituar 40,000 dollarë dhe 4 Master të Pikat Pwn.
Nga sulmet e tjera që mund të kryheshin me sukses, mund të përmendim si më poshtë:
- 100 mijë dollarë për zhvillimin e një shfrytëzimi për Firefox-in, i cili lejoi, duke hapur një faqe të krijuar posaçërisht, të anashkalonte izolimin e sandbox dhe të ekzekutonte kodin në sistem.
- 40,000 dollarë për demonstrimin e një shfrytëzimi që përfiton nga një tejmbushje buffer në Oracle Virtualbox për të dalë nga një mysafir.
- 50,000 dollarë për ekzekutimin e Apple Safari (mbushje e tamponit).
- 450,000 dollarë për hakimet e Microsoft Teams (skuadra të ndryshme demonstruan tre hakime me një shpërblim prej
- 150,000 dollarë secila).
- 80,000 dollarë (dy bonuse 40,000 dollarë) për të përfituar nga tejmbushjet e buferit dhe përshkallëzimi i privilegjeve në Microsoft Windows 11.
- 80,000 dollarë (dy bonuse 40,000 dollarë) për të shfrytëzuar një defekt në kodin e verifikimit të aksesit për të ngritur privilegjet tuaja në Microsoft Windows 11.
- 40 mijë dollarë për të shfrytëzuar tejkalimin e numrave të plotë për të ngritur privilegjet tuaja në Microsoft Windows 11.
- 40,000 dollarë për shfrytëzimin e një cenueshmërie Përdorimi-Pa-Pa pagesë në Microsoft Windows 11.
- 75,000 dollarë për demonstrimin e një sulmi në sistemin info-argëtues të një makine Tesla Model 3. Shfrytëzimi përdorte tejmbushjen e tamponit dhe defektet e dyfishta pa pagesë, së bashku me një teknikë të anashkalimit të sandboxit të njohur më parë.
Së fundmi, por jo më pak e rëndësishme, përmendet se në dy ditët e konkursit, dështimet e ndodhura pavarësisht nga tre tentativat e lejuara për hakerim, janë: Microsoft Windows 11 (6 hakime të suksesshme dhe 1 i dështuar), Tesla (1 hakim i suksesshëm dhe 1 i dështuar. ) dhe Microsoft Teams (3 hakime të suksesshme dhe 1 i dështuar). Nuk kishte asnjë kërkesë për të demonstruar shfrytëzime në Google Chrome këtë vit.
Më në fund nëse jeni të interesuar të dini më shumë rreth kësaj, Ju mund t'i kontrolloni detajet në postimin origjinal në lidhja e mëposhtme.